使用控制台控制对维护时段的访问权限

访问：https://console.aws.amazon.com/iam/，打开 IAM 控制台。

在导航窗格中，选择 Policies (策略)，然后选择 Create policy (创建策略)。

在策略编辑器区域中，选择 JSON。

将默认内容替换为以下内容：

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "ssm:SendCommand",
                "ssm:CancelCommand",
                "ssm:ListCommands",
                "ssm:ListCommandInvocations",
                "ssm:GetCommandInvocation",
                "ssm:GetAutomationExecution",
                "ssm:StartAutomationExecution",
                "ssm:ListTagsForResource",
                "ssm:GetParameters"
            ],
            "Resource": "*"
        },
        {
            "Effect": "Allow",
            "Action": [
                "states:DescribeExecution",
                "states:StartExecution"
            ],
            "Resource": [
                "arn:aws:states:*:*:execution:*:*",
                "arn:aws:states:*:*:stateMachine:*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "lambda:InvokeFunction"
            ],
            "Resource": [
                "arn:aws:lambda:*:*:function:*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "resource-groups:ListGroups",
                "resource-groups:ListGroupResources"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": [
                "tag:GetResources"
            ],
            "Resource": [
                "*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "*",
            "Condition": {
                "StringEquals": {
                    "iam:PassedToService": [
                        "ssm.amazonaws.com"
                    ]
                }
            }
        }
    ]
}

根据需要为您在账户中运行的维护任务修改 JSON 内容。您做出的更改是特定于所计划操作的。

例如：

完成策略修订后，选择下一步。

对于策略名称，输入一个名称以将此标识为您创建的服务角色所附加的策略。例如：my-maintenance-window-role-policy。

（可选）在添加标签区域中，添加一个或多个标签键值对，以组织、跟踪或控制此策略的访问权限。

选择创建策略。

记下为此策略指定的名称。您将在下一过程任务 2：使用控制台为维护时段创建自定义服务角色中引用它。

通过 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

在导航窗格中，选择角色，然后选择创建角色。

对于 Select trusted entity（选择可信实体），完成以下选择：

选择下一步。

在权限策略区域中的搜索框中，输入您在 任务 1：使用控制台为维护时段服务角色创建自定义策略 中创建的策略的名称，选中其名称旁边的复选框，然后选择下一步。

对于 Role name（角色名称），输入用于将此角色标识为 Maintenance Windows 角色的名称。例如：my-maintenance-window-role。

（可选）更改默认角色描述，以反映此角色的用途。例如：Performs maintenance window tasks on your behalf。

对于步骤 1：选择可信实体，请确认可信策略框中显示了以下策略。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "",
      "Effect": "Allow",
      "Principal": {
        "Service": "ssm.amazonaws.com"
      },
      "Action": "sts:AssumeRole"
    }
  ]
}

对于步骤 2：添加权限，请验证您在 任务 1：使用控制台为维护时段服务角色创建自定义策略 中创建的策略是否已存在。

（可选）在步骤 3：添加标签中，添加一个或多个标签键值对，以组织、跟踪或控制此角色的访问权限。

选择 Create role (创建角色)。系统将让您返回到 角色 页面。

选择刚才创建的 IAM 角色的名称。

复制或记下在 Summary（摘要）区域显示的角色名称和 ARN 值。您账户中的用户在创建维护时段时需要指定此信息。

通过 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

在导航窗格中，选择用户组。

在组列表中，选择要将 iam:PassRole 权限分配到的组的名称，或在需要时先创建一个新组

在 Permissions（权限）选项卡上，请选择 Add permissions, Create inline policy（添加权限、创建内联策略）。

在策略编辑器区域中，选择 JSON，然后将方框的默认内容替换为以下内容。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": "iam:PassRole",
            "Resource": "arn:aws:iam::account-id:role/my-maintenance-window-role"
        },
        {
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "arn:aws:iam::account-id:role/"
        },
        {
            "Effect": "Allow",
            "Action": "iam:ListRoles",
            "Resource": "arn:aws:iam::account-id:role/aws-service-role/ssm.amazonaws.com/"
        }
    ]
}

my-maintenance-window-role 表示您之前创建的自定义维护时段角色的名称。

account-id 表示 Amazon Web Services 账户 的 ID。为资源 arn:aws:iam::account-id:role/ 添加此权限允许用户在创建维护时段任务时在控制台中查看和选择客户角色。为 arn:aws:iam::account-id:role/aws-service-role/ssm.amazonaws.com/ 添加此权限允许用户在创建维护时段任务时在控制台中选择 Systems Manager 服务相关角色。

选择下一步。

在查看和创建页面上的策略名称框中，输入名称以标识此 PassRole 策略，例如 my-group-iam-passrole-policy，然后选择创建策略。

通过 https://console.aws.amazon.com/iam/ 打开 IAM 控制台。

在导航窗格中，选择用户组。

在组列表中，选择要从中拒绝 ssm:RegisterTaskWithMaintenanceWindow 权限的组的名称，或在需要时先创建一个新组。

在 Permissions（权限）选项卡上，请选择 Add permissions, Create inline policy（添加权限、创建内联策略）。

在策略编辑器区域中，选择 JSON，然后将方框的默认内容替换为以下内容。

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Deny",
            "Action": "ssm:RegisterTaskWithMaintenanceWindow",
            "Resource": "*"
        }
    ]
}

选择下一步。

在查看和创建页面上，对于策略名称，输入名称以标识此策略，例如 my-groups-deny-mw-tasks-policy，然后选择创建策略。